Luka CSRF w wtyczce Categorify dla WordPress (CVE-2024-1907)

Co wiadomo

Wtyczka Categorify dla WordPress do wersji 1.0.7.4 jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce w funkcji categorifyAjaxDeleteCategory. Atakujący może nakłonić administratora do wykonania nieautoryzowanego usunięcia kategorii poprzez spreparowany link.

Wpływ biznesowy

Ta luka pozwala na nieautoryzowane usuwanie kategorii w systemie WordPress, co może prowadzić do zakłócenia organizacji treści i potencjalnych problemów z zarządzaniem stroną. Administratorzy powinni traktować tę podatność jako średniego ryzyka, zwłaszcza jeśli wtyczka jest aktywnie używana i dostępna dla użytkowników z uprawnieniami administracyjnymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Categorify u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp administracyjny, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów, by nie klikali podejrzanych linków. Regularne przeglądy i audyty bezpieczeństwa wtyczek CMS są również wskazane.

Źródła

• NVD
• Reference
• Reference